Ogni mese succedono decine di cose. Qui trovi quelle che possono toccare una famiglia o una piccola impresa in Svizzera o in Italia, raggruppate per tema. Per i casi su cui abbiamo scritto un articolo c’è il link: lì trovi i dettagli e cosa fare.
Qual è stato il tema del mese?
La paura usata come esca: qualcuno si presenta come un’autorità, ti accusa o ti allarma, e ti chiede di agire subito. Cambia il nome (UFCS, polizia, PagoPA, il supporto di TWINT), ma il copione è lo stesso: un pericolo inventato, una scadenza stretta, e la richiesta di fare qualcosa che un ente vero non ti chiederebbe mai.
- Svizzera, 17 febbraio: l’UFCS racconta un caso segnalato da poco. Dei truffatori telefonano presentandosi come collaboratori dell’UFCS e parlano di un’emergenza. Convincono la persona a installare un programma che permette di controllare il telefono a distanza e fanno pagamenti dal suo conto. Poi dicono che le carte sono state bloccate, per confonderla. Infine spiegano che i suoi oggetti di valore vanno «portati al sicuro»: dei complici passano a casa e ritirano gioielli e contanti. Per tutto il tempo la tengono al telefono e cercano di impedirle di chiedere aiuto o di controllare.
- Ticino, 17 febbraio: la Polizia cantonale avverte di email inviate a privati, istituzioni e aziende, a suo nome e con i nomi di funzionari di polizia, che accusano il destinatario di un reato grave e chiedono di «contattare le autorità» entro 72 ore tramite un link. È phishing.
- Svizzera, 27 febbraio: l’UFCS segnala email di ricatto. Chi scrive sostiene di avere i dati della tua carta, della patente e altro ancora, e minaccia di venderli nel dark web. Spesso l’email sembra partita dal tuo stesso indirizzo, ma il mittente è falsificato. L’UFCS è netto: è un bluff, ignorala.
- Italia, tutto il mese: le multe false via email a nome di PagoPA, con una sanzione stradale da pagare subito, sono state il phishing più frequente (i numeri sono più sotto, nella parte sull’Italia).
Perché il numero che vedi sul display non basta a fidarti lo abbiamo spiegato in il numero della polizia di Lugano falsificato. Come finisce una telefonata con un programma di controllo a distanza è in mi ha chiamato la banca, ma era una truffa.
Cosa è successo in Svizzera?
Il falso supporto TWINT che ti fa confermare un pagamento nell’app vera, le email che sommergono la casella per nascondere un avviso, e una email falsa a settimana segnalata dalla polizia di Zurigo.
- Falso supporto TWINT (18 febbraio): la polizia cantonale di Zurigo, su cybercrimepolice.ch, descrive telefonate di finti addetti al supporto di TWINT, a volte con un numero svizzero o il nome di TWINT sul display. Parlano di movimenti sospetti, per esempio l’acquisto di carte regalo in criptovalute, e ti chiedono di entrare nell’app vera di TWINT per confermare delle «verifiche». In realtà sono richieste di denaro dei truffatori. Se rifiuti, si mostrano comprensivi e ti avvertono di un presunto danno economico. Il danno arriva solo se confermi: leggi sempre nell’app se stai per pagare o per ricevere.
- La casella sommersa (10 febbraio): l’UFCS ha ricevuto molte segnalazioni di «subscription bombing». In pochi minuti arrivano centinaia o migliaia di email di conferma da newsletter di tutto il mondo. Non è uno scherzo: spesso chi attacca è già entrato in un tuo conto, per esempio l’e-banking o un negozio online, e vuole che l’email importante (un avviso di sicurezza, la conferma di un ordine) si perda nel mucchio. Prima di cancellare tutto, cerca nella posta parole come «password», «pagamento», «ordine», e controlla i movimenti della banca.
- Il rapporto annuale (16 febbraio): l’UFCS ha pubblicato il rapporto annuale 2025: 64’733 segnalazioni volontarie di ciberincidenti, circa 2000 in più del 2024.
Le email false della settimana. La polizia cantonale di Zurigo pubblica su cybercrimepolice.ch i casi veri che le vengono segnalati. A febbraio:
- 11 febbraio: un finto sondaggio di Galaxus, il negozio online, promette un profumo in regalo. Le domande sono innocue, poi chiedono indirizzo e contatti e infine pochi franchi di «spedizione» con la carta. I dati della carta finiscono ai truffatori, e l’indirizzo può servire per ordini fatti a tuo nome.
- 25 febbraio: un finto «centro rimborsi» di Temu dice che hai pagato troppo per un ordine e che il rimborso arriva in pochi minuti. La pagina falsa chiede la password di Temu, poi la carta, e infine il codice che la banca manda per SMS: è quello che autorizza il pagamento.
Un regalo che costa qualche franco di spedizione e un rimborso che chiede la carta hanno lo stesso scopo: i dati della carta. Il 24 febbraio l’UFCS ha descritto anche le finte verifiche «sono umano» che ti fanno incollare un comando sul computer: tutto in la finta verifica di essere umano.
Sempre a febbraio la stampa svizzera ha raccontato di una scuola media della Svizzera tedesca dove dei ragazzi avevano creato con un sito gratuito nudi falsi di alcune compagne. Il caso e cosa fare sono in Foto di nudo false fra compagni di scuola.
E in Italia?
Multe e pedaggi falsi, l’INPS che chiede buste paga e un selfie, il falso rimborso IRPEF, la tessera sanitaria, e una truffa sulle prenotazioni di viaggio che conosce l’importo esatto.
Il CERT-AGID, il centro dell’Agenzia per l’Italia digitale che ogni settimana conta le campagne contro l’Italia, ne ha registrate fra 73 e 108 a settimana. I temi che tornano:
- Multe false: 90 campagne in quattro settimane, tutte via email a nome di PagoPA, con la finta notifica di una multa non pagata che chiede dati personali e bancari. Come riconoscerle: la multa falsa a nome di PagoPA.
- Pedaggi (inizio febbraio): SMS a nome di Autostrade per l’Italia per un «pedaggio non saldato», con un sito falso che chiede dati personali e la carta. Solo nella prima settimana del mese, dieci campagne.
- INPS e i documenti (7-20 febbraio): SMS che invitano a «verificare la propria anagrafe per i redditi 2026» (e un’email che chiede IBAN e banca). La pagina chiede di caricare carta d’identità, tessera sanitaria, patente, le ultime buste paga, un selfie e perfino il CUD. Documenti e foto del volto possono servire a farsi passare per te.
- INPS ed Enel con la banca (21-27 febbraio): email diverse nella grafica ma con lo stesso meccanismo: ti fanno scegliere la tua banca e poi chiedono le credenziali dell’home banking.
Il fisco e la tessera sanitaria. Il 3 febbraio l’Agenzia delle Entrate ha avvisato di nuovo di email false con il suo logo che annunciano un rimborso IRPEF, l’imposta sul reddito, «versata in eccesso»: il link porta a un sito fatto per truffare. Nella stessa settimana il CERT-AGID ha visto una variante in cui il finto rimborso ti chiede di scegliere la banca e di inserire le credenziali. Il 17 febbraio la Polizia Postale ha segnalato email simili a quelle ufficiali su presunte verifiche o irregolarità della tessera sanitaria, che portano a una pagina che vuole dati personali, bancari o le credenziali di accesso.
Agenzia delle Entrate, avviso del 3 febbraio 2026 Polizia Postale, false email sul rinnovo della tessera sanitariaUn rimborso vero non ti chiede la carta né la password della banca. Per controllare, entra tu nell’area riservata dal sito ufficiale, scrivendo l’indirizzo. Ne abbiamo parlato anche in la falsa email dell’Agenzia delle Entrate-Riscossione.
La prenotazione «non pagata» (23 febbraio). La Polizia Postale descrive un inganno costruito su dati veri. Hai davvero prenotato un viaggio, e ti arriva un’email o un messaggio WhatsApp che sembra dell’agenzia o della piattaforma: il pagamento «non risulta accreditato» ed è «in verifica». L’importo è esattamente quello che hai pagato. Ti chiedono un nuovo versamento urgente, su un conto diverso da quello ufficiale. Prima di pagare di nuovo, entra nella prenotazione dal sito o dall’app che hai usato, scrivendo tu l’indirizzo. Lo stesso schema, partito dai dati rubati a un campeggio, lo trovi in il messaggio WhatsApp dal campeggio.
Polizia Postale, false comunicazioni di prenotazione viaggiDal Garante privacy, una lezione sui dati del volto (20 febbraio): sanzione di 50’000 euro all’Università eCampus, che controllava presenza e identità dei corsisti online con il riconoscimento facciale, oltre 450 persone per lezione. Per il Garante mancava una base giuridica, visto che c’erano modi meno invasivi per verificare le presenze, e non era stata fatta prima la valutazione d’impatto sulla protezione dei dati. Il volto non si cambia come una password: se in azienda pensi alla biometria per presenze o accessi, chiediti prima se basta un sistema meno invasivo.
Garante privacy, newsletter del 20 febbraio 2026Il 26 febbraio la Polizia Postale ha avvisato dei video di giornalisti e rappresentanti delle istituzioni modificati con l’intelligenza artificiale per vendere finti investimenti. Il caso è in il video di Keller-Sutter o di Panetta è falso.
Perché tanti WhatsApp rubati chiedono soldi?
Perché chi ruba un account usa la tua rubrica: il messaggio arriva da un amico, e ci si fida.
- «Prestami dei soldi» (5 febbraio): il CERT-AGID registra un aumento di segnalazioni. Un contatto conosciuto ti scrive che ha una spesa imprevista, per esempio delle cure mediche, e ti chiede di pagare subito con la carta. Il suo account è stato rubato. Il CERT-AGID aggiunge un dettaglio importante: chi ha subito il furto deve chiudere tutte le sessioni attive, anche WhatsApp Web e i dispositivi collegati, e controllare le chat archiviate, perché i messaggi truffa possono partire anche da lì.
- Il voto alla ballerina (12 febbraio): la Polizia Postale avverte del messaggio di un amico che ti chiede di votare una bambina in un concorso di danza. Il voto vuole il tuo numero e il codice arrivato per SMS: con quello, l’account diventa loro. Cosa fare in WhatsApp rubato con il falso concorso.
- Anche su Signal (6 febbraio): il CSIRT Italia, la squadra di risposta agli incidenti dell’Agenzia per la cybersicurezza nazionale (ACN), segnala una campagna che chiede una finta «verifica dell’account» Signal per rubarlo.
Se un amico ti chiede soldi in chat, chiamalo: a voce, sul numero che conosci. Se è davvero lui, ti ringrazierà per aver controllato.
Hai un sito, un dominio o la posta aziendale?
A febbraio i truffatori hanno puntato agli accessi delle aziende: la posta di Microsoft, i rinnovi dei domini e le conversazioni con i fornitori.
- Il documento condiviso su SharePoint (3 febbraio): l’UFCS descrive un phishing difficile da vedere. Ti arriva l’invito, apparentemente da un conoscente, ad aprire un PDF su SharePoint, il servizio di Microsoft per condividere documenti. Il link porta davvero a SharePoint, e anche il codice che ricevi per email è vero. Il trucco è dopo: il link al «documento» apre una pagina che chiede la password di Microsoft e il secondo codice, e i truffatori li usano in tempo reale. Così aggirano anche la verifica in due passaggi. Se un documento inatteso ti chiede di accedere, chiedi al mittente con una telefonata se te l’ha mandato davvero.
- Rinnovi di domini e siti (4 e 14-20 febbraio): a Zurigo email false a nome di GoDaddy dicono che il pagamento del rinnovo è stato rifiutato e che il servizio verrà sospeso entro 24 ore. In Italia il CERT-AGID segnala in una settimana cinque campagne di finti rinnovi a nome di Register, UnitedDomains, Wix e Serverplan. Il rinnovo si controlla entrando tu nel pannello del fornitore, mai dal link.
- Le conversazioni dirottate (17 febbraio): il CSIRT Italia segnala di nuovo una campagna contro organizzazioni italiane. I truffatori entrano nelle caselle di posta aziendali, creano domini quasi identici a quelli veri e si inseriscono nelle conversazioni in corso per farsi pagare. Un cambio di IBAN chiesto per email si conferma sempre con una telefonata a un numero che hai già.
- Le Olimpiadi di Milano Cortina (4 e 5 febbraio): il 4 febbraio il ministro degli Esteri Antonio Tajani ha detto, secondo askanews, che è stato anticipato un attacco di hacker russi contro sedi del ministero all’estero, a cominciare da Washington, e alcuni siti legati ai Giochi. Il giorno dopo il gruppo filorusso Noname057(16) ha rivendicato attacchi DDoS, che sommergono un sito di richieste per renderlo irraggiungibile, anche contro alcuni alberghi di Cortina; secondo l’ANSA non hanno causato disservizi di rilievo. La Polizia Postale ha spiegato di essere attiva sui principali siti dell’evento dal 26 gennaio, con un centro operativo aperto 24 ore su 24. Per un albergo o un negozio online la domanda è semplice: se il sito resta fermo un giorno, i clienti hanno un altro modo per contattarti?
Per l’email falsa dell’hosting che chiede di aggiornare il sito c’è l’email falsa dell’hosting. Chi gestisce un sito con moduli di contatto può anche aiutare le vittime del «subscription bombing»: l’UFCS consiglia un controllo anti-robot sui moduli e un limite di invii.
Quali truffe arrivano dall’Europa?
Il call center che prometteva di recuperare i soldi persi, e un accordo americano sulle TV.
- Ucraina, Lettonia e Lituania (23 febbraio): Eurojust, l’agenzia europea per la cooperazione fra procure, annuncia la chiusura di un call center di Dnipro con tre uffici. Il 17 febbraio arrestate 11 persone, 32 perquisizioni, sequestrati 400’000 euro in contanti e otto auto di lusso. Lo schema: un finto investimento in criptovalute con grandi guadagni, poi la richiesta di soldi per un’«assistenza legale» che avrebbe recuperato le perdite. Con un programma di controllo a distanza entravano nei conti delle vittime e spostavano il denaro. Le prime vittime accertate hanno perso oltre 160’000 euro. I segnali in Truffe negli investimenti online.
Un caso di febbraio venuto da fuori Europa l’abbiamo già raccontato: il 26 febbraio l’accordo fra il Texas e Samsung sulla raccolta di ciò che guardi in TV, in La tua TV sa cosa guardi?.
Quali aggiornamenti non puoi rimandare?
Windows e Word, iPhone e Mac, Chrome, e un programma gratuito molto usato in ufficio.
- Windows e Office (10 febbraio): gli aggiornamenti mensili di Microsoft correggono sei falle già sfruttate negli attacchi, in Windows e in Word. Alcune permettono di aggirare funzioni di sicurezza di Windows. Controlla in Impostazioni, Windows Update, che il computer sia aggiornato e riavvialo.
- iPhone, iPad e Mac (11 febbraio): Apple ha corretto con iOS 26.3, iPadOS 26.3 e macOS Tahoe 26.3 una falla che, secondo Apple, potrebbe essere stata sfruttata in un attacco «estremamente sofisticato» contro persone specifiche su versioni di iOS precedenti alla 26. Non serve essere un bersaglio per aggiornare: come controllare in due minuti lo spieghiamo in L’iPhone è inviolabile?.
- Chrome (13 febbraio): Google sa che per una falla del browser circola già un attacco funzionante. La correzione è nella versione 145.0.7632.75 o successiva. La CISA, l’agenzia di cybersicurezza statunitense, ricorda che la falla può riguardare anche altri browser basati sulla stessa tecnologia, come Edge e Opera: aggiorna anche quelli, poi chiudi e riapri il browser.
- Notepad++ (2 febbraio): lo sviluppatore di questo editor di testo gratuito, molto diffuso negli uffici, ha spiegato che fra giugno e dicembre 2025 il servizio che distribuiva gli aggiornamenti è stato manomesso al livello del fornitore di hosting. Alcuni utenti scelti sono stati mandati verso aggiornamenti infetti. Secondo diversi ricercatori indipendenti, dietro c’è probabilmente un gruppo al servizio dello Stato cinese. Il consiglio dello sviluppatore: scaricare a mano dal sito ufficiale la versione 8.9.1 o successiva e installarla. La lezione: anche un programma vero può arrivare infetto, e ogni programma che non usi è un rischio in più.
Il 20 febbraio la CISA ha aggiunto anche due falle di Roundcube, la posta via browser offerta da molti hosting. Cosa chiedere al fornitore in Webmail Roundcube, una falla è già sfruttata.
Dove segnalo una truffa?
Prima in Svizzera, poi in Italia, a seconda di dove vivi o di dove è il tuo conto.
- Svizzera: segnala il messaggio o la chiamata all’UFCS sul modulo online di report.ncsc.admin.ch (bastano pochi minuti, anche dal telefono). Se hai perso soldi o confermato un pagamento TWINT, chiama subito la banca: a volte il pagamento si può ancora fermare. Poi telefona alla polizia cantonale per fissare un appuntamento e sporgere denuncia. Le email false a nome della Polizia cantonale ticinese si possono segnalare alla polizia stessa, all’indirizzo indicato nel comunicato. Se qualcuno sta per passare a casa a ritirare soldi o gioielli, chiama il 117.
- Italia: segnala sul sito del Commissariato di PS online della Polizia Postale, alla pagina commissariatodips.it/segnalazioni. Se hai pagato, avvisa subito la banca e sporgi denuncia.
- Se hai installato un programma su richiesta di chi ti ha chiamato: disinstallalo e cambia le password usate su quel telefono o computer, come consiglia l’UFCS. Se non te la senti da solo, chiedi a un familiare o a una persona di fiducia. Conserva messaggi e numeri: servono come prova.
Il Metodo 3V applicato al mese
| Fase | La lezione di febbraio |
|---|---|
| Verifica: chi mi chiama o mi scrive davvero? | UFCS, Polizia cantonale, TWINT, PagoPA, un amico su WhatsApp: il nome sul display, il logo o il mittente non provano niente. Chiama tu un numero che conosci |
| Validazione: la richiesta ha senso? | Un ufficio che ti protegge non vuole i tuoi gioielli, un supporto non ti fa confermare un pagamento, un’agenzia non ti fa pagare due volte su un altro conto: no |
| Velocità controllata: chi mi mette fretta? | «Entro 72 ore», «sospensione entro 24 ore», «non dirlo a nessuno»: la fretta e il segreto sono il segnale. Fermati e parlane con qualcuno |
Il metodo completo è nel libro «Sicurezza informatica per professionisti» e nella guida al Metodo 3V.
Domande frequenti
Mi è arrivata un'email della polizia che mi accusa di un reato grave e mi dà 72 ore per rispondere: è vera?
No. A febbraio 2026 la Polizia cantonale ticinese ha avvisato di email false a suo nome, con riferimenti a funzionari di polizia, che accusano di un reato grave e chiedono di rispondere entro 72 ore tramite un link. È phishing, come ha spiegato la polizia stessa. Non cliccare e non rispondere. Se hai un dubbio, chiama il posto di polizia più vicino al numero che trovi tu.
Mi ha chiamato il supporto TWINT e mi chiede di confermare una verifica nell'app: cosa faccio?
Riattacca. A febbraio 2026 la polizia di Zurigo ha descritto proprio questo: il finto supporto ti fa aprire l'app vera di TWINT, ma quella che confermi è una richiesta di denaro dei truffatori. Nessuna verifica si fa al telefono. Leggi bene nell'app se stai pagando. Se hai già confermato, chiama subito la banca e chiedi di bloccare o contestare il pagamento.
In pochi minuti mi sono arrivate centinaia di email di iscrizione a newsletter: cosa sta succedendo?
Può essere «subscription bombing»: secondo l'UFCS spesso serve a nascondere un'email importante mentre qualcuno usa un tuo conto. Non cancellare tutto. Cerca nella posta parole come password, pagamento, ordine, sicurezza. Controlla i movimenti della banca e della carta, cambia la password dei conti sospetti e, se trovi un pagamento che non hai fatto, chiama subito la banca.
L'agenzia mi scrive che il pagamento del viaggio non risulta e devo ripagare su un altro conto: è una truffa?
Quasi certamente sì. La Polizia Postale ha segnalato a febbraio 2026 messaggi che conoscono la tua prenotazione vera e l'importo esatto, e chiedono un nuovo pagamento urgente su un conto diverso. Non pagare. Entra nella prenotazione dal sito o dall'app che hai usato, scrivendo tu l'indirizzo, o chiama il servizio clienti ai recapiti ufficiali. Se hai già pagato, avvisa subito la banca.
Quello che è successo a una persona in Svizzera a febbraio è cominciato con una telefonata ed è finito con degli sconosciuti alla porta. Stasera, a cena o al telefono, dillo a chi in famiglia risponde ancora al fisso: nessun agente e nessun ufficio passa a ritirare soldi o gioielli. E apri WhatsApp, alla voce Dispositivi collegati: se c’è un computer che non riconosci, scollegalo. Cosa è successo dopo lo trovi nella rassegna di marzo.
